Механизмы защиты операционных систем

Основными задачами защиты операционных систем являются идентификация, аутентификация, разграничение доступа пользователей к ресурсам, протоколирование и аудит самой системы

Идентификация и аутентификация

Для начала рассмотрим проблему контроля доступа в систему. Наиболее распространенным способом контроля доступа является процедура регистрации. Обычно каждый пользователь в системе имеет уникальный идентификатор. Идентификаторы пользователей применяются с той же целью, что и идентификаторы любых других объектов, файлов, процессов. Идентификация заключается в сообщении пользователем своего идентификатора. Для того чтобы установить, что пользователь именно тот, за кого себя выдает, то есть что именно ему принадлежит введенный идентификатор, в информационных системах предусмотрена процедура аутентификации, задача которой – предотвращение доступа к системе нежелательных лиц.

В этой связи встает вопрос об уязвимости паролей (для подбора) и хранения паролей, которые уже рассматривались в лекции 1.

Шифрование паролей в операционных системах

Для хранения секретного списка паролей на диске во многих ОС используется криптография. Система задействует одностороннюю функцию, которую просто вычислить, но для которой чрезвычайно трудно (разработчики надеются, что невозможно) подобрать обратную функцию.

Например, в ряде версий Unix в качестве односторонней функции используется модифицированный вариант алгоритма DES. Введенный пароль длиной до 8 знаков преобразуется в 56–битовое значение, которое служит входным параметром для процедуры crypt(), основанной на этом алгоритме. Результат шифрования зависит не только от введенного пароля, но и от псевдослучайной последовательности битов, называемой привязкой (переменная salt). Это сделано для того, чтобы решить проблему совпадающих паролей. Очевидно, что саму привязку после шифрования необходимо сохранять, иначе процесс не удастся повторить. Модифицированный алгоритм DES выполняется, имея входное значение в виде 64–битового блока нулей, с использованием пароля в качестве ключа, а на каждой следующей итерации входным параметром служит результат предыдущей итерации. Всего процедура повторяется 25 раз. Полученное 64–битовое значение преобразуется в 11 символов и хранится рядом с открытой переменной salt.

В ОС Windows NT преобразование исходного пароля также осуществляется многократным применением алгоритма DES и алгоритма MD4.

Хранятся только кодированные пароли. В процессе аутентификации представленный пользователем пароль кодируется и сравнивается с хранящимися на диске. Таким образом, файл паролей нет необходимости держать в секрете.

При удаленном доступе к ОС нежелательна передача пароля по сети в открытом виде. Одним из типовых решений является использование криптографических протоколов. В качестве примера можно рассмотреть протокол опознавания с подтверждением установления связи путем вызова – CHAP (Challenge Handshake Authentication Protocol).

Авторизация.

После успешной регистрации система должна осуществлять авторизацию (authorization) – предоставление субъекту прав на доступ к объекту. Средства авторизации контролируют доступ легальных пользователей к ресурсам системы, предоставляя каждому из них именно те права, которые были определены администратором, а также осуществляют контроль возможности выполнения пользователем различных системных функций.

Выявление вторжений. Аудит системы защиты

Даже самая лучшая система защиты рано или поздно будет взломана. Обнаружение попыток вторжения является важнейшей задачей системы защиты, поскольку ее решение позволяет минимизировать ущерб от взлома и собирать информацию о методах вторжения. Как правило, поведение взломщика отличается от поведения легального пользователя. Иногда эти различия можно выразить количественно, например, подсчитывая число некорректных вводов пароля во время регистрации.

Основным инструментом выявления вторжений является запись данных аудита. Отдельные действия пользователей протоколируются, а полученный протокол используется для выявления вторжений.

Аудит, таким образом, заключается в регистрации специальных данных о различных типах событий, происходящих в системе и так или иначе влияющих на состояние безопасности компьютерной системы. К числу таких событий обычно причисляют следующие:

·         вход или выход из системы;

·         операции с файлами (открыть, закрыть, переименовать, удалить);

·         обращение к удаленной системе;

·         смена привилегий или иных атрибутов безопасности (режима доступа, уровня благонадежности пользователя и т. п.).

Если фиксировать все события, объем регистрационной информации, скорее всего, будет расти слишком быстро, а ее эффективный анализ станет невозможным. Следует предусматривать наличие средств выборочного протоколирования как в отношении пользователей, когда слежение осуществляется только за подозрительными личностями, так и в отношении событий. Слежка важна в первую очередь как профилактическое средство. Можно надеяться, что многие воздержатся от нарушений безопасности, зная, что их действия фиксируются.

Помимо протоколирования, можно периодически сканировать систему на наличие слабых мест в системе безопасности. Такое сканирование может проверить разнообразные аспекты системы:

·         короткие или легкие пароли;

·         неавторизованные программы, если система поддерживает этот механизм;

·         неавторизованные программы в системных директориях;

·         долго выполняющиеся программы;

·         потенциально опасные списки поиска файлов, которые могут привести к запуску "троянского коня";

·         изменения в системных программах, обнаруженные при помощи контрольных сумм.

Любая проблема, обнаруженная сканером безопасности, может быть, как ликвидирована автоматически, так и передана для решения менеджеру системы.

Правила разграничения доступа

Компьютерная система может быть смоделирована как набор субъектов (процессы, пользователи) и объектов. Под объектами мы понимаем как ресурсы оборудования (процессор, сегменты памяти, принтер, диски и ленты), так и программные ресурсы (файлы, программы, семафоры), то есть все то, доступ к чему контролируется. Каждый объект имеет уникальное имя, отличающее его от других объектов в системе, и каждый из них может быть доступен через хорошо определенные и значимые операции.

Операции зависят от объектов. Например, процессор может только выполнять команды, сегменты памяти могут быть записаны и прочитаны, считыватель магнитных карт может только читать, а файлы данных могут быть записаны, прочитаны, переименованы и т. д.

Желательно добиться того, чтобы процесс осуществлял авторизованный доступ только к тем ресурсам, которые ему нужны для выполнения его задачи. Это требование минимума привилегий, полезно с точки зрения ограничения количества повреждений, которые процесс может нанести системе. Например, когда процесс P вызывает процедуру А, ей должен быть разрешен доступ только к переменным и формальным параметрам, переданным ей, она не должна иметь возможность влиять на другие переменные процесса. Аналогично компилятор не должен оказывать влияния на произвольные файлы, а только на их хорошо определенное подмножество (исходные файлы, листинги и др.), имеющее отношение к компиляции. С другой стороны, компилятор может иметь личные файлы, используемые для оптимизационных целей, к которым процесс Р не имеет доступа.

Различают дискреционный (избирательный) способ управления доступом и полномочный (мандатный).

Мандатное управление доступом к объектам компьютерной системы

Данный подход заключается в том, что все объекты могут иметь уровни секретности, а все субъекты делятся на группы, образующие иерархию в соответствии с уровнем допуска к информации. Иногда это называют моделью многоуровневой безопасности, которая должна обеспечивать выполнение следующих правил.

·         Простое свойство секретности. Субъект может читать информацию только из объекта, уровень секретности которого не выше уровня секретности субъекта. (например, генерал читает документы лейтенанта, но не наоборот).

·         *–свойство. Субъект может записывать информацию в объекты только своего уровня или более высоких уровней секретности. (например, генерал не может случайно разгласить нижним чинам секретную информацию)

Некоторые авторы утверждают, что последнее требование называют *–свойством, потому что в оригинальном докладе не смогли придумать для него подходящего названия. В итоге во все последующие документы и монографии оно вошло как *–свойство.

Отметим, что данная модель разработана для хранения секретов, но не гарантирует целостности данных. (например, здесь лейтенант имеет право писать в файлы генерала.)

Дискретное управление доступом к объектам компьютерной системы

При дискреционном доступе, определенные операции над конкретным ресурсом запрещаются или разрешаются субъектам или группам субъектов. С концептуальной точки зрения текущее состояние прав доступа при дискреционном управлении описывается матрицей, в строках которой перечислены субъекты, в столбцах – объекты, а в ячейках – операции, которые субъект может выполнить над объектом.

Чтобы рассмотреть схему дискреционного доступа более детально, введем концепцию домена безопасности (protection domain). Каждый домен определяет набор объектов и типов операций, которые могут производиться над каждым объектом. Возможность выполнять операции над объектом есть права доступа, каждое из которых есть упорядоченная пара <object–name, rights–set>. Домен, таким образом, есть набор прав доступа. Например, если домен D имеет права доступа <file F, {read, write}>, это означает, что процесс, выполняемый в домене D, может читать или писать в файл F, но не может выполнять других операций над этим объектом.

Связь конкретных субъектов, функционирующих в операционных системах, может быть организована следующим образом.

·         Каждый пользователь может быть доменом. В этом случае набор объектов, к которым может быть организован доступ, зависит от идентификации пользователя.

·         Каждый процесс может быть доменом. В этом случае набор доступных объектов определяется идентификацией процесса.

·         Каждая процедура может быть доменом. В этом случае набор доступных объектов соответствует локальным переменным, определенным внутри процедуры. Заметим, что когда процедура выполнена, происходит смена домена.

Рассмотрим стандартную двухрежимную модель выполнения ОС. Когда процесс выполняется в режиме системы (kernel mode), он может выполнять привилегированные инструкции и иметь полный контроль над компьютерной системой. С другой стороны, если процесс выполняется в пользовательском режиме, он может вызывать только непривилегированные инструкции. Следовательно, он может выполняться только внутри предопределенного пространства памяти. Наличие этих двух режимов позволяет защитить ОС (kernel domain) от пользовательских процессов (выполняющихся в user domain). В мультипрограммных системах двух доменов недостаточно, так как появляется необходимость защиты пользователей друг от друга. Поэтому требуется более тщательно разработанная схема.

Большинство операционных систем реализуют именно дискреционное управление доступом. Главное его достоинство – гибкость, основные недостатки – рассредоточенность управления и сложность централизованного контроля.

Анализ некоторых популярных ОС с точки зрения их защищенности

Итак, ОС должна способствовать реализации мер безопасности или непосредственно поддерживать их. Примерами подобных решений в рамках аппаратуры и операционной системы могут быть:

·         разделение команд по уровням привилегированности;

·         сегментация адресного пространства процессов и организация защиты сегментов;

·         защита различных процессов от взаимного влияния за счет выделения каждому своего виртуального пространства;

·         особая защита ядра ОС;

·         контроль повторного использования объекта;

·         наличие средств управления доступом;

·         структурированность системы, явное выделение надежной вычислительной базы (совокупности защищенных компонентов), обеспечение компактности этой базы;

·         следование принципу минимизации привилегий – каждому компоненту дается ровно столько привилегий, сколько необходимо для выполнения им своих функций.

Большое значение имеет структура файловой системы. Например, в ОС с дискреционным контролем доступа каждый файл должен храниться вместе с дискреционным списком прав доступа к нему, а, например, при копировании файла все атрибуты, должны быть автоматически скопированы вместе с телом файла.

В принципе, меры безопасности не обязательно должны быть заранее встроены в ОС – достаточно принципиальной возможности дополнительной установки защитных продуктов. Так, сугубо ненадежная система MS–DOS может быть усовершенствована за счет средств проверки паролей доступа к компьютеру и/или жесткому диску, за счет борьбы с вирусами путем отслеживания попыток записи в загрузочный сектор CMOS–средствами и т. п. Тем не менее по–настоящему надежная система должна изначально проектироваться с акцентом на механизмы безопасности.

MS–DOS

ОС MS–DOS функционирует в реальном режиме (real–mode) процессора i80x86. В ней невозможно выполнение требования, касающегося изоляции программных модулей (отсутствует аппаратная защита памяти). Уязвимым местом для защиты является также файловая система FAT, не предполагающая у файлов наличия атрибутов, связанных с разграничением доступа к ним. Таким образом, MS–DOS находится на самом нижнем уровне в иерархии защищенных ОС.

NetWare, IntranetWare

Замечание об отсутствии изоляции модулей друг от друга справедливо и в отношении рабочей станции NetWare. Однако NetWare – сетевая ОС, поэтому к ней возможно применение и иных критериев. При этом важно изолировать наиболее уязвимый участок системы безопасности NetWare – консоль сервера, и тогда следование определенной практике поможет увеличить степень защищенности данной сетевой операционной системы. Возможность создания безопасных систем обусловлена тем, что число работающих приложений фиксировано и пользователь не имеет возможности запуска своих приложений.

OS/2

OS/2 работает в защищенном режиме (protected–mode) процессора i80x86. Изоляция программных модулей реализуется при помощи встроенных в этот процессор механизмов защиты памяти. Поэтому она свободна от указанного выше коренного недостатка систем типа MS–DOS. Но OS/2 была спроектирована и разработана без учета требований по защите от несанкционированного доступа. Это сказывается прежде всего на файловой системе. В файловых системах OS/2 HPFS (high performance file system) и FAT нет места для дополнительных атрибутов. Кроме того, пользовательские программы имеют возможность запрета прерываний.

Основные защитные механизмы ОС семейства Unix

Отметим, что для различных клонов ОС семейства UNIX возможности механизмов защиты могут незначительно различаться, однако будем рассматривать ОС UNIX в общем случае, без учета некоторых незначительных особенностей отдельных ОС этого семейства.

Построение файловой системы и разграничение доступа к файловым объектам имеет особенности, присущие данному семейству ОС. Все дисковые накопители (тома) объединяются в единую ВИРТУАЛЬНУЮ ФАЙЛОВУЮ СИСТЕМУ путем операции монтирования тома. При этом содержимое тома проецируется на выбранный каталог файловой системы. Элементами файловой системы являются также все устройства, подключаемые к защищаемому компьютеру (монтируемые к файловой системе). Поэтому разграничение доступа к ним осуществляется через файловою систему. Каждый файловый объект имеет индексный дескриптор (описатель), в котором среди прочего хранится информация о разграничении доступа к данному файловому объекту. Права доступа делятся на три категории: доступ для владельца, доступ для группы и доступ для остальных пользователей. В каждой категории определяются права на чтение, запись и исполнение (в случае каталога – просмотр). Пользователь имеет уникальные символьный идентификатор (имя) и числовой идентификатор (UID). Символьный идентификатор предъявляется пользователем при входе в систему, числовой используется операционной системой для определения прав пользователя в системе (доступ к файлам и т.д.).

В Unix имеются инструменты системного аудита – хронологическая запись событий, имеющих отношение к безопасности. К таким событиям обычно относят: обращения программ к отдельным серверам; события, связанные с входом/выходом в систему и другие. Обычно регистрационные действия выполняются специализированным syslog–демоном, который проводит запись событий в регистрационный журнал в соответствии с текущей конфигурацией. Syslog–демон стартует в процессе загрузки системы.

 Принципиальные недостатки защитных механизмов ОС семейства UNIX

Отметим, что в ОС семейства UNIX, вследствие реализуемой ею концепции администрирования (не централизованная), невозможно обеспечить замкнутость (или целостность) программной среды. Это связано с невозможностью установки атрибута «исполнение» на каталог (для каталога данный атрибут ограничивает возможность «обзора» содержимого каталога). Поэтому при разграничении администратором доступа пользователей к каталогам, пользователь, как «владелец» создаваемого им файла, может занести в свой каталог исполняемый файл и, как его «владелец», установить на файл атрибут «исполнение», после чего запустить записанную им программу. Эта проблема непосредственно связана с реализуемой в ОС концепцией защиты информации. Не в полном объеме реализуется дискреционная модель доступа, в частности не могут разграничиваться права доступа для пользователя «root» (UID = 0). Т.е. данный субъект доступа исключается из схемы управления доступом к ресурсам. Соответственно все запускаемые им процессы имеют неограниченный доступ к защищаемым ресурсам. При этом если несанкционированная программа запуститься под правами root, то она получит полный доступ к защищаемым ресурсам и т.д. Кроме того, в ОС семейства UNIX невозможно встроенными средствами гарантированно удалять остаточную информацию. Для этого в системе абсолютно отсутствуют соответствующие механизмы. Необходимо также отметить, что большинство ОС данного семейства не обладают возможностью контроля целостности файловой системы, то есть не содержат соответствующих встроенных средств. В лучшем случае дополнительными утилитами может быть реализован контроль конфигурационных файлов ОС по расписанию, в то время, как важнейшей возможностью данного механизма можно считать контроль целостности программ (приложений) перед их запуском, контроль файлов данных пользователя и др.

Если же трактовать требования к управлению доступом в общем случае, то при защите компьютера в составе ЛВС, необходимо управление доступом к хостам (распределенный пакетный фильтр). Однако встроенными средствами зашиты некоторых ОС семейства UNIX управление доступом к хостам не реализуется.

Основные защитные механизмы ОС семейства Windows

С момента выхода версии 3.1 осенью 1993 года в Windows NT гарантировалось соответствие высокому уровню безопасности. Начиная с 1999 года сертифицирована версия NT 4 с Service Pack 6a с использованием файловой системы NTFS в автономной и сетевой конфигурации. Следует помнить, что это не подразумевает защиту информации, передаваемой по сети, и не гарантирует защищенности от физического доступа.

Компоненты защиты NT (под NT понимается вся линейка операционных систем Windows NT/2000/XP) частично встроены в ядро, а частично реализуются подсистемой защиты. Подсистема защиты контролирует доступ и учетную информацию. Кроме того, Windows NT имеет встроенные средства, такие как поддержка резервных копий данных и управление источниками бесперебойного питания, но в целом повышают общий уровень безопасности.

Ключевая цель системы защиты Windows NT – следить за тем, кто и к каким объектам осуществляет доступ. Система защиты хранит информацию, относящуюся к безопасности для каждого пользователя, группы пользователей и объекта. Единообразие контроля доступа к различным объектам (процессам, файлам, семафорам и др.) обеспечивается тем, что с каждым процессом связан маркер доступа, а с каждым объектом – дескриптор защиты. Маркер доступа в качестве параметра имеет идентификатор пользователя, а дескриптор защиты – списки прав доступа. ОС может контролировать попытки доступа, которые производятся процессами прямо или косвенно инициированными пользователем.

Windows NT отслеживает и контролирует доступ как к объектам, которые пользователь может видеть посредством интерфейса (такие, как файлы и принтеры), так и к объектам, которые пользователь не может видеть (например, процессы и именованные каналы). Любопытно, что, помимо разрешающих записей, списки прав доступа содержат и запрещающие записи, чтобы пользователь, которому доступ к какому–либо объекту запрещен, не смог получить его как член какой–либо группы, которой этот доступ предоставлен.

Система защиты ОС Windows NT состоит из следующих компонентов:

·         Процедуры регистрации (Logon Processes), которые обрабатывают запросы пользователей на вход в систему. Они включают в себя начальную интерактивную процедуру, отображающую начальный диалог с пользователем на экране и удаленные процедуры входа, которые позволяют удаленным пользователям получить доступ с рабочей станции сети к серверным процессам Windows NT.

·         Подсистемы локальной авторизации (Local Security Authority, LSA), которая гарантирует, что пользователь имеет разрешение на доступ в систему. Этот компонент – центральный для системы защиты Windows NT. Он порождает маркеры доступа, управляет локальной политикой безопасности и предоставляет интерактивным пользователям аутентификационные услуги. LSA также контролирует политику аудита и ведет журнал, в котором сохраняются сообщения, порождаемые диспетчером доступа.

·         Менеджера учета (Security Account Manager, SAM), который управляет базой данных учета пользователей. Эта база данных содержит информацию обо всех пользователях и группах пользователей. SAM предоставляет услуги по легализации пользователей, применяющиеся в LSA.

·         Диспетчера доступа (Security Reference Monitor, SRM), который проверяет, имеет ли пользователь право на доступ к объекту и на выполнение тех действий, которые он пытается совершить. Этот компонент обеспечивает легализацию доступа и политику аудита, определяемые LSA. Он предоставляет услуги для программ супервизорного и пользовательского режимов, для того чтобы гарантировать, что пользователи и процессы, осуществляющие попытки доступа к объекту, имеют необходимые права. Данный компонент также порождает сообщения службы аудита, когда это необходимо.

Защита в открытых версиях Windows

Открытых операционных систем много – одних лишь различных дистрибутивов Linux насчитывается несколько десятков. Но миллионы человек используют Windows и для них переход на открытую ОС другого типа очень сложен. Выходом из сложившейся ситуации могла бы стать Windows с открытым исходным кодом. И такая операционная система уже разрабатывается!

ReactOS это попытка разработать клон Windows c открытым исходным кодом. В качестве образца для копирования была выбрана Microsoft Windows NT 4.0. Перед разработчиками стоит цель не просто сделать среду, в которой бы запускались Windows–программы, а написать полноценную операционную систему, совместимую с Windows NT на уровне, как приложений, так и драйверов.

ReactOS была спроектирована для обеспечения высокого уровня безопасности и в перспективе не должна иметь проблем, присущих другим операционным системам. По сути, данная система начала разрабатываться с середины 90–х годов и до сих пор имеет лишь альфа версии. Однако версии регулярно обновляются и доступны к бесплатному скачиванию на сайте разработчика. В перспективе данная операционная система должна решать стандартный набор задач: идентификация, аутентификация, разграничение доступа пользователей к ресурсам, протоколирование и аудит самой системы.

Индивидуальные профили пользователей Windows

В отличие от операционных систем Windows 9x, позволявших всем пользователям компьютера иметь одинаковые настройки и работать с общим рабочим столом, Windows NT использует понятие профиля пользователя, который хранит все личные данные и настройки. В этой операционной системе отсутствует возможность использования одного профиля всеми пользователями компьютера, а данные профиля надежно защищены от других пользователей.

Профиль пользователя – специальная папка на локальном компьютере, в которой хранятся файлы и настройки конкретного пользователя. По умолчанию приложения, совместимые с Windows NT, сохраняют свои данные и настройки пользователя в одну из папок профиля пользователя.

Структура и расположение профилей

Независимо от типа профиля в момент работы пользователя на компьютере профиль хранится в папке %userprofile% (обычно находится в папке Documents and Settings, которая обычно располагается на том же диске, что и операционная система.)

Папка профиля пользователя, как правило, доступна администраторам компьютера, операционной системе и самому пользователю. Другие пользователи не имеют прав для просмотра, а тем более изменения данных, хранящихся в профиле.

По умолчанию каждый профиль пользователя имеет структуру файлов и папок, описанную ниже. Различные приложения могут добавлять свои файлы и папки в профиль, однако описанная структура остается неизменной, т.к. используется операционной системой для работы.

Папка	Описание
Application Data	Различные данные, сохраняемые приложениями. По стандартам Microsoft приложения, совместимые с Windows NT должны сохранять настройки пользователя в системном реестре или в этой папке. Большинство приложений Microsoft, в частности Microsoft Office, сохраняют дополнительные файлы, шаблоны и т.п. в этой папке
Cookies	Файлы cookies, сохраняемые Microsoft Internet Explorer
Desktop	Значки и файлы, расположенные на рабочем столе пользователя
Favorites	Папка Избранное Microsoft Internet Explorer
Local Settings	Данные, хранимые только на локальном компьютере. При использовании перемещаемых профилей; содержимое этой папки не копируется на сервер
Local Settings\Application Data	Данные, сохраняемые приложениями, которые специфичны для данного компьютера и не должны копироваться в перемещаемый профиль
Local Settings\History	История посещения сайтов Microsoft Internet Explorer
Local Settings\Temp	Папка для хранения временных файлов, создаваемых приложениями и операционной системой во время работы
Local Settings\Temporary Internet Files	Папка для кэширования файлов Microsoft Internet Explorer
My Documents	Папка Мои документы
NetHood	Пользовательские значки, добавленные в папку Мое сетевое окружение
PrintHood	Пользовательские значки, добавленные в папку Принтеры
Recent	Ссылки на недавно открывавшиеся файлы
SendTo	Пользовательские значки, добавленные в меню Отправить
Start Menu	Структура подменю Программы меню Пуск пользователя
Templates	Шаблоны файлов, создаваемых с помощью меню Создать файл
UserData	Информация об адресах, набиравшихся в Microsoft Internet Explorer
ntuser.dat	Куст системного реестра HKEY_CURRENT_USER пользователя
ntuser.dat.log	Журнал транзакций куста системного реестра пользователя
ntuser.ini	Дополнительные параметры профиля пользователя. Например, список папок профиля, не копируемых при использовании перемещаемого профиля

Профиль всех пользователей.

Профиль всех пользователей предназначен для хранения данных и настроек, общих для всех пользователей компьютера. Профиль хранится в %allusersprofile%.

Этот профиль по своей структуре идентичен профилю обычного пользователя, однако не содержит многих папок, предназначенных для хранения данных пользователя. Изменения в профиль всех пользователей могут вносить только члены локальных групп.

Профиль пользователя по умолчанию.

Профиль пользователя по умолчанию абсолютно идентичен профилю обычного пользователя, за исключением того, что этот профиль не может быть использован ни одним пользователем компьютера. Профиль пользователя по умолчанию используется при создании профиля нового пользователя: при регистрации нового пользователя, ранее не использовавшего компьютер, его профиль создается путем копирования профиля пользователя по умолчанию. Поэтому, если вы хотите включить какие–либо файлы в профиль каждого пользователя, но не можете это сделать при помощи профиля всех пользователей, скопируйте эти файлы в профиль пользователя по умолчанию. Например, скопировав нужные значки в папку NetHood, вы добьетесь их появления в папке Мое сетевое окружение каждого нового пользователя.

Типы профилей.

Windows NT поддерживает три типа профилей пользователей:

·         локальный профиль, расположенный на конкретном компьютере и не хранящийся на сервере;

·         перемещаемый профиль, хранящийся на сервере и копируемый на любой компьютер, на котором регистрируется пользователь;

·         обязательный профиль, являющийся разновидностью перемещаемого профиля, настройки пользователя в котором не сохраняются после завершения сеанса.